CVE-2026-8327 in Concrete
요약
\~에 의해 VulDB • 2026. 05. 22.
Concrete CMS 9.5.0 미만 버전은 재인증 없이 비밀번호 변경 및 세션 강화 우회 취약점에 노출됩니다. user-profile edit 컨트롤러는 필드 화이트리스트링 없이 전체 원본 POST 배열을 UserInfo::update()로 전달하므로, 현재 비밀번호를 요구하지 않고 비밀번호를 변경할 수 있으며, 등록된 사용자가 하이재킹 감지를 목적으로 하는 세션 검증기의 사용자별 IP 고정 기능을 비활성화할 수 있습니다. Concrete CMS 보안 팀은 이 취약점에 CVSS v4.0 점수 5.3 (벡터: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N)을 부여했습니다. 보고해 주신 0x4c616an에게 감사드립니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.